Una empresa de análisis genético ha confirmado que algunos datos personales de sus clientes están circulando en foros de la Dark Web. El incidente se debe a un ciberataque mediante el método del relleno de credenciales, una técnica que consiste en utilizar combinaciones de nombre y contraseña obtenidas en otros ataques previos para acceder a bases de datos.
Acceso a datos internos sin hackeo directo
La compañía 23andMe destaca que su base de datos no ha sido hackeada propiamente dicho, pero sí se ha logrado acceso a una gran cantidad de datos internos. Según el portal Bleeping Computer, la brecha se produjo mediante relleno de credenciales, un método que permite colarse en sistemas al aprovechar combinaciones de nombre y contraseña ya conocidas.
Millones de usuarios afectados
Según información publicada en foros de la Dark Web, las cuentas de unas 7 millones de personas han sido comprometidas. Los datos obtenidos incluyen nombres, fotos, geolocalización y información sobre el servicio «DNA Relatives», que permite a los usuarios conocer con qué otras personas comparten un vínculo genético.
Datos específicos en venta
La filtración inicial apunta a que se puso a la venta una base de datos con información de 1 millón de personas pertenecientes a la etnia Ashkenazí, una de las principales comunidades judías. Además, se ha puesto a la venta otra base de datos con información de 300.000 usuarios de origen chino.
Información sensible en manos equivocadas
Estas bases de datos se han vendido por precios que van desde un dólar hasta 10 dólares por perfil. Según quienes las han publicado, entre la información obtenida se encuentra el genotipo de los pacientes, lo cual podría permitir determinar la probabilidad de sufrir ciertas enfermedades. Esta información es muy sensible y potencialmente interesante para las aseguradoras.
23andMe rechaza filtración directa de datos genéticos
Aunque se ha obtenido información genética de los perfiles de ADN, 23andMe destaca que no se han filtrado los datos genéticos directos del ADN de los usuarios. La compañía aún está analizando la situación y estudiando cómo proceder.
Recomendaciones a los usuarios
La empresa defiende que cumple con los mayores estándares de privacidad y posee tres certificaciones ISO diferentes. A todos sus usuarios, recomienda encarecidamente modificar su contraseña, asegurándose de que sea única para este servicio.